Докладчик

Цель работы

Основной целью работы является получение навыков обнаружения и устранение уязвимостей WordPress-wpDiscuz, Proxylogon, Rocket.Chat и их последствий.

Выполнение лабораторной работы

Для начала изучили вектор атаки, адреса злоумышленника и атакуемых серверов.

Уязвимость WordPress-wpDiscuz

Залогинились в ViPNet для обнаружения уязвимости в журнале событий.

Уязвимость WordPress-wpDiscuz

В “Событиях” обнаружили событие AM Exploit Wordpress с программным кодом, предназначенным для эксплуатации уязвимости

Уязвимость WordPress-wpDiscuz

Изучили информацию по CVE-коду об обнаруженной уязвимости, изучили рекомендации по нейтрализации.

Уязвимость WordPress-wpDiscuz

Для устранения уязвимости подключились к удаленному рабочему столу по адресу 10.140.2.180

Уязвимость WordPress-wpDiscuz

Вошли под указанной учетной записью.

Уязвимость WordPress-wpDiscuz

В соответствии с вектором атаки в KeePass нашли CMS WordPress.

Уязвимость WordPress-wpDiscuz

Просмотрели сайт WordPress по указанному адресу. Здесь обнаружили последствие - Deface - изменение внешнего вида интерфейса.

Уязвимость WordPress-wpDiscuz

В панели администрирования перешли во вкладку с плагинами и деактивировали плагин wpDiscuz

Уязвимость WordPress-wpDiscuz

Для того, чтобы устранить последствие Deface, необходимо откатить сайт до предыдущей резервной копии. Для этого перешли в панель администрирования и во вкладке с плагинами нашли плагин UpdraftPlus - Backup/Restore, перешли в “Settings”.

Уязвимость WordPress-wpDiscuz

Выбрали последнюю резервную копию и нажали “Restore”.

Уязвимость WordPress-wpDiscuz

Поставили флажки у компонентов “Themes” и “Uploads”.

Уязвимость WordPress-wpDiscuz

Во всплывшем окне с ошибкой нажали “Удалить старые директории”

Уязвимость WordPress-wpDiscuz

Когда директории удалились, нажали “Return to UpdraftPlus configuration”

Уязвимость WordPress-wpDiscuz

Обновили страницу сайта. Убедились, что последствие Deface успешно устранено.

Уязвимость WordPress-wpDiscuz

Перешли в Putty web-portal, чтобы проверить сокеты на наличие подозрительных процессов с помощью утилиты ss.

Уязвимость WordPress-wpDiscuz

Уничтожили вредоносные соединения с помощью команды kill {pid}. Убедились в их отсутствии.

Уязвимость WordPress-wpDiscuz

Первая уязвимость с ее последствием успешно устранены

Уязвимость Proxylogon

Вернулись в ViPNet для обнаружения подозрительной активности в журнале событий.

Уязвимость Proxylogon

Изучили информацию об обнаруженной уязвимости.

Уязвимость Proxylogon

В соответствии с вектором атаки в KeePass нашли MS Exchange.

Уязвимость Proxylogon

Подключились к удаленному рабочему столу по адресу в соответствии с вектором атаки. Открыли Internet Information Services Manager.

Уязвимость Proxylogon

Перешли в /MAIL/Sites/Default Web Site/ecp

Уязвимость Proxylogon

Перешли в IP Address and Domain Restrictions, в “Actions” выбрали “Edit Feature Settings”, в открывшемся окне в параметре “Access for unspecified clients” выбрали “Deny”.

Уязвимость Proxylogon

Далее открыли терминал, чтобы обнаружить вредоносные процессы с помощью утилиты netstat.

Уязвимость Proxylogon

Уязвимость Proxylogon

Остановили эти процессы и проверили их отсутствие.

Уязвимость Proxylogon

Далее в директории /C:/Program Files/Microsoft/Exchange Server/V15/FrontEnd/HttpProxy/owa/auth удалили файл AM_Backdoor.aspx

Уязвимость Proxylogon

Уязвимость Proxylogon и ее последствие China Chopper успешно устранены.

Уязвимость Rocket.Chat

Вернулись в ViPNet для обнаружения подозрительной активности в журнале событий.

Уязвимость Rocket.Chat

Изучили информацию об обнаруженной уязвимости.

Уязвимость Rocket.Chat

В соответствии с вектором атаки в KeePass нашли RocketChat.

Уязвимость Rocket.Chat

Открыли веб-версию Rocket.Chat и нажали на сброс пароля для указанной учетной записи.

Уязвимость Rocket.Chat

На почту администратора Rocket.Chat было направлено email-письмо с инструкциями по сбросу пароля.

Уязвимость Rocket.Chat

В консоли от администратор просмотрели это письмо. Скопировали ссылку со сгенерированным токеном для сброса пароля.

Уязвимость Rocket.Chat

Перешли по скопированному адресу в браузере

Уязвимость Rocket.Chat

Задали новый пароль для пользователя

Уязвимость Rocket.Chat

Просмотрели /home/user/backup_codes для прохождения двухфакторной аутентификации при сбросе пароля.

Уязвимость Rocket.Chat

Ввели один из них в соответствующее поле ввода.

Уязвимость Rocket.Chat

Залогинились с измененным паролем.

Уязвимость Rocket.Chat

В панели администриования перешли в “Права доступа”, и для роли “User” поставили флажок “User must use Two factor Authentication”.

Уязвимость Rocket.Chat

Перешли во вкладку “Учетные записи” и настроили подтверждение адреса электронной почты при регистрации для роли “User” и автоматическую настройку двухфакторной аутентификации по электронной почте для новых пользователей.

Уязвимость Rocket.Chat

Уязвимость Rocket.Chat

В терминале администратора Rocket.Chat-server отредактировали файл mongod.conf, расскомментировав параметр “security:” и прописав отключение выполнения JavaScript на стороне сервера базы данных “javascriptEnabled: False”.

Уязвимость Rocket.Chat

Перезапустили службу mongod.service

Уязвимость Rocket.Chat

С помощью утилиты ss обнаружили и остановили вредоносные процессы.

Уязвимость Rocket.Chat

Уязвимость RocketChat RCE и ее последствие meterpreter успешно устранены.

Завершение выполнения лабораторной работы

Заполнили карточки инцидентов для уязвимостей и их последствий.

Выводы

В результате выполнения лабораторной работы мы получили навыки обнаружения и устранение уязвимостей WordPress-wpDiscuz, Proxylogon, Rocket.Chat и их последствий.